Brytyjskie prawo dotyczące weryfikacji wieku: Przewodnik po zgodności z ustawą o bezpieczeństwie w Internecie

Czego wymaga ustawa o bezpieczeństwie w Internecie

Ustawa o bezpieczeństwie online z 2023 r. uzyskała zgodę królewską 26 października 2023 r. i daje Ofcomowi uprawnienia do żądania od usług online ochrony dzieci przed pornografią i innymi szkodliwymi treściami. Obowiązek weryfikacji wieku jest prosty w zasadzie i wymagający w praktyce: każda usługa objęta zakresem ustawy musi zapobiegać kontaktowi dzieci z treściami pornograficznymi i musi być w stanie wykazać, że jej metoda jest wysoce skuteczna, a nie tylko obecna.

Obowiązek ten jest nakładany na dwie kategorie w różnych terminach. Część 5 obejmuje serwisy publikujące własne treści pornograficzne i obowiązuje od 17 stycznia 2025 r. Część 3 dotyczy platform typu użytkownik-użytkownik i wyszukiwarek, które musiały przeprowadzić ocenę dostępu dzieci do 16 kwietnia 2025 r., a następnie wdrożyć proporcjonalne środki, w tym zapewnienie wieku, od 25 lipca 2025 r.

Kluczowe daty i harmonogram egzekwowania

Ofcom szybko przeszedł od wytycznych do aktywnego egzekwowania prawa. Poniższy schemat został zaczerpnięty z opublikowanych przez Ofcom decyzji egzekucyjnych i biuletynów branżowych [Przed publikacją należy zweryfikować aktualne dane z rejestrem egzekwowania prawa Ofcom, ponieważ kwoty i liczba spraw są aktualizowane co tydzień].

W tym schemacie wyróżniają się dwie rzeczy. Po pierwsze, Ofcom traktuje brak odpowiedzi na żądania informacji jako odrębne przestępstwo od leżącego u jego podstaw naruszenia obowiązku zapewnienia wieku i nakłada grzywny na oba. Po drugie, kary rosną wraz z uporczywością i wielkością portfela: operator oferujący jedną usługę, który naprawił swoje systemy po decyzji tymczasowej, zapłacił mniej niż operator oferujący wiele lokalizacji z ciągłym naruszeniem. Współpraca znacząco obniża rachunek.

Co uznaje się za „wysoce skuteczne” zabezpieczenie wieku

Wytyczne Ofcomu wykluczają deklaracje własne, proste zaznaczenie roku urodzenia i niezweryfikowane kontrole kart płatniczych jako samodzielne metody. Akceptowane metody generalnie dzielą się na kilka grup:

• Oszacowanie wieku twarzy, które zwraca wynik pomiaru wieku na podstawie pewności siebie na podstawie selfie na żywo bez przechowywania szablonu biometrycznego
• Weryfikacja tożsamości ze zdjęciem, porównanie dokumentu wydanego przez rząd z użytkownikiem próbującym uzyskać dostęp
• Otwarta bankowość lub kontrole oparte na kartach, które potwierdzają, że posiadacz konta ma ukończone 18 lat, za pośrednictwem regulowanego dostawcy usług finansowych
• Wielokrotnego użytku cyfrowe tokeny tożsamości i wieku, które umożliwiają zweryfikowanemu użytkownikowi potwierdzenie swojego wieku w wielu usługach bez konieczności ponownego przeprowadzania pełnego sprawdzenia za każdym razem
• Podejście kaskadowe, które zaczyna się od metody o niskim współczynniku tarcia, takiej jak szacowanie wieku, a następnie przechodzi do kontroli dokumentów lub kontroli biometrycznych wyłącznie w przypadku wyników granicznych

Model kaskadowy jest obecnie standardem w branży, ponieważ równoważy dokładność wymaganą przez organy regulacyjne z utratą danych, której firmy chcą uniknąć. Implementacja Shufti opiera się na tym modelu: najpierw szacowanie wieku, silniejsza weryfikacja tylko wtedy, gdy oszacowanie jest niejednoznaczne, oraz brak przechowywania szablonów biometrycznych po otrzymaniu wyniku.

Kary i uprawnienia egzekucyjne

Ofcom może nałożyć na usługę niezgodną z przepisami karę grzywny w wysokości do 18 milionów funtów lub 10% kwalifikowanych globalnych przychodów, w zależności od tego, która kwota jest wyższa. Oprócz kar, Ofcom może ubiegać się do sądu o zastosowanie środków zakłócających działalność: nakazy zobowiązujące dostawców usług płatniczych, reklamodawców lub brytyjskich dostawców usług internetowych do wycofania wsparcia dla platformy niezgodnej z przepisami, co skutecznie blokuje jej dostęp do rynku brytyjskiego. Dotychczas egzekwowanie przepisów koncentrowało się na treściach dla dorosłych i usługach udostępniania plików, a Ofcom potwierdził, że ocenia również główne platformy społecznościowe i narzędzia sztucznej inteligencji (AI) zdolne do generowania treści o charakterze seksualnym, więc pula podmiotów podlegających egzekwowaniu przepisów raczej się poszerza, niż zawęża.

Jak wdrożyć zgodność

1. Przeprowadź lub odśwież ocenę dostępu swoich dzieci i przechowuj pisemny zapis. Ofcom prosi o ten dokument w pierwszej kolejności.
2. Wybierz metodę weryfikacji wieku odpowiednią do poziomu ryzyka; kaskadowe szacowanie i zapasowe dokumenty sprawdzają się w przypadku większości platform konsumenckich.
3. Usuń wszelkie samodzielne oświadczenia lub ograniczenia dotyczące roku urodzenia; nie spełniają one już samodzielnie wymaganego standardu.
4. Zarejestruj wskaźniki zdawalności, wskaźniki fałszywie pozytywnych i fałszywie negatywnych wyników oraz czas weryfikacji; dochodzenia Ofcomu wielokrotnie wymagały tych dowodów.
5. Odpowiadaj na wszystkie wnioski Ofcom o udostępnienie informacji w wyznaczonym terminie; do tej pory każda sprawa dotycząca egzekwowania przepisów obejmowała osobną, często kosztowną, karę za spóźnione lub brakujące odpowiedzi.
6. Przejrzyj dokumentację dotyczącą prywatności, aby użytkownicy wiedzieli, jakie dane są gromadzone, dlaczego i jak długo są przechowywane.